[FIX] api.js: sessione scaduta → login invece di pagina bloccata "--"

Bug segnalato da un tester "sono tornato su nis2 e non funziona più" (utente/
aziende "--", inventario bloccato su Caricamento, niente FAB segnalazioni).
Causa: un 401 su /auth/refresh (refresh token scaduto/invalido) rientrava nel
handler di refresh (la condizione non escludeva l'endpoint auth) → ricorsione:
doRefreshToken() non ritornava mai, quindi logout()/redirect a login non
scattava e la pagina restava rotta. Riprodotto con puppeteer (access scaduto +
refresh invalido → dashboard "--" identica allo screenshot).

Fix: escludi /auth/refresh e /auth/login dall'auto-refresh; inoltre un 401 senza
refresh token disponibile fa logout() → login. Ora un utente che torna dopo la
scadenza del token viene mandato a login (ri-accede) invece di vedere "--".
Bug PRE-ESISTENTE in api.js (non introdotto dal V3), critico ora col push tester.
Cache-buster api.js ?v=20260627u su tutte le pagine.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

public/whistleblowing.html

@@ -258,7 +258,7 @@
 
     <!-- Scripts V3: api.js → common.js (helper+FAB reali) → Lucide self-host →
          topnav-v3.js (chrome, ridefinisce loadSidebar) → i18n → help → init pagina -->
-    <script src="/js/api.js?v=20260625d"></script>
+    <script src="/js/api.js?v=20260627u"></script>
     <script src="/js/common.js?v=20260627t"></script>
     <script src="/vendor/lucide/lucide.min.js"></script>
     <script src="/js/topnav-v3.js?v=20260627t"></script>